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Nationale und internationale Kooperationen des Bundesamtes für die Sicherheit in 
der Informationstechnik 


Vorbemerkung der Fragesteller 

In der 18. Wahlperiode hat sich der Deutsche Bundestag aufgrund der Veröf¬ 
fentlichungen von Edward Snowden intensiv mit der Arbeitsweise der Nach¬ 
richtendienste befasst. Dabei wurde nach den Würdigungen der Fraktionen DIE 
LINKE, und BÜNDNIS 90/DIE GRÜNEN in deren gemeinsamen Sondervo¬ 
tum zum Abschlussbericht des 1. Untersuchungsausschusses der 18. Wahlperi¬ 
ode (Bundestagsdrucksache 18/12850, S. 1394 ff.) auch die Mitwirkung des 
Bundesamtes für die Sicherheit in der Informationstechnik (BSI) an der Einrich¬ 
tung der Massenüberwachung des Bundesnachrichtendienstes bei der Deut¬ 
schen Telekom bekannt und auch internationale Kooperationen mit US-ameri¬ 
kanischen und britischen Behörden (vgl. Bundestagsdrucksache 18/12850, S. 
1431 ff., 551 ff.). Zudem ist bekannt geworden, dass entgegen früherer Darstel¬ 
lungen das BSI durch das Bundesministerium des Innern angewiesen wurde, das 
Bundeskriminalamt bei der Entwicklung der Software für die Quellen-TKÜ 
(TKÜ = Telekommunikationsüberwachung) zu unterstützen (www.heise.de/ 
newsticker/meldung/Geheimpapiere-BSI-entwickelte-Bundestrojaner-mit-2577 
582.html). 


Vorbemerkung der Bundesregierung 

Der gesetzliche Auftrag des Bundesamtes für die Sicherheit in der Informations¬ 
technik (BSI) als nationale, zivile IT-Sicherheitsbehörde besteht u. a. in der prä¬ 
ventiven Förderung der Informations- und Cybersicherheit. Die nationale und in¬ 
ternationale Zusammenarbeit des BSI leitet sich aus der gesetzlichen Aufgaben¬ 
stellung des BSI ab. Eine Aufgabe des BSI ist beispielsweise die Förderung der 
Sicherheit in der Informationstechnik, insbesondere die Abwehr von Gefahren für 
die Sicherheit der Informationstechnik des Bundes. Im Rahmen dieser Aufgaben¬ 
stellung arbeitet das BSI im nationalen und internationalen Rahmen jeweils mit 
Behörden und Anbietern von Telekommunikationsdiensten zusammen, um seiner 
Pflicht von Prävention, Detektion und Abwehr von Angriffen auf die IT-Inffa- 
strukturen der Bundesrepublik Deutschland nachzukommen. 


Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums des Innern, fiir Bau und Heimat 
vom 13. Juli 2018 übermittelt. 

Die Drucksache enthält zusätzlich — in kleinerer Schrifttype - den Fragetext. 




Drucksache 19/3398 


-2- 


Deutscher Bundestag - 19. Wahlperiode 


Dies umfasst aufgrund der Rolle als Nationale Kommunikationssicherheits- und 
Cybersicherheitsbehörde zum Beispiel für die USA auch die NSA. Diese Zusam¬ 
menarbeit resultierte direkt aus der Mitgliedschaft der Bundesrepublik Deutsch¬ 
land in der NATO (vgl. Bundestagsdrucksache 17/14797, z. B. Antwort zu den 
Fragen 10 und 12). 

Bezüglich des grundsätzlichen Umgangs des BSI mit Schwachstellen/Exploits ist 
zu betonen, dass das BSI diese im Rahmen seines gesetzlichen Auftrags des 
Schutzes der IT nicht unter dem Aspekt der potentiellen Verwertbarkeit für Maß¬ 
nahmen einer Telekommunikationsüberwachung (z. B. für Quellen-TKÜ, On¬ 
linedurchsuchung etc.) bewertet, sondern nur bezüglich der grundsätzlichen Aus¬ 
nutzbarkeit für einen Missbrauch durch einen Angreifer mit dem Ziel Warnungen 
und Informationen bereitstellen zu können. 

In den Fragen 1 bis 12 wird nach Kooperationen des BSI gefragt. Unter Koope¬ 
ration im Sinne dieser Kleinen Anfrage ist aus Sicht der Bundesregierung eine 
etablierte, strukturierte, wiederkehrende und auf bestimmte Zeit ausgelegte insti¬ 
tutioneile Zusammenarbeit zu verstehen. Zur allgemeinen Zusammenarbeit von 
Mitarbeitern des BSI mit ausländischen Sicherheitsbehörden und Nachrichten¬ 
diensten wird auf die Antwort zu den Fragen 19 und 20 verwiesen. 

Bezüglich Frage 20 ist die Bundesregierung nach sorgfältiger Abwägung zu der 
Auffassung gelangt, dass eine Beantwortung nicht vollständig in offener Form 
erfolgen kann. Zwar ist der parlamentarische Informationsanspruch grundsätzlich 
auf die Beantwortung gestellter Fragen in der Öffentlichkeit angelegt. Eine Of¬ 
fenlegung der angefragten Informationen birgt jedoch die Gefahr erheblicher 
nachteiliger Auswirkungen auf die zukünftige vertrauensvolle Zusammenarbeit 
mit ausländischen Partnern, da eine Offenlegung von IT-Sicherheitsvorfalle in 
anderen Ländern durch die Bundesregierung als Vertrauensbruch angesehen wer¬ 
den dürfte. Die Veröffentlichung kann daher für die Interessen der Bundesrepub¬ 
lik Deutschland schädlich sein. Deshalb sind die entsprechenden Informationen 
als Verschlusssache gemäß der VSA § 3 Nummer 3 als „VS — Vertraulich“ ein¬ 
gestuft. 


1. Wie viele Kooperationen hat das BSI seit 2015 mit ausländischen Sicher¬ 
heitsbehörden oder Nachrichtendiensten im Zusammenhang mit bereits er¬ 
folgten oder begonnenen Angriffen auf in Deutschland befindliche bzw. ge¬ 
nutzte IT-Systeme durchgeführt oder begonnen? 

Das BSI hat speziell im Zusammenhang mit bereits erfolgten oder begonnenen 
Angriffen auf in Deutschland befindliche bzw. genutzte IT-Systeme seit dem Jahr 
2015 keine Kooperationen mit ausländischen Sicherheitsbehörden oder Nach¬ 
richtendiensten durchgeführt oder begonnen. Wegen der Zusammenarbeit im All¬ 
gemeinen wird auf die Vorbemerkung sowie auf die Antwort zu den Fragen 19 
und 20 verwiesen. 

2. Welche deutschen und ausländischen Behörden waren an den in Frage 1 er¬ 
fragten Kooperationen beteiligt (bitte nach Jahr, Anzahl, Namen und Her¬ 
kunftsland der beteiligten Stellen einzeln auflisten)? 

3. Auf welchen gesetzlichen, vertraglichen oder vertragsähnlichen Grundlagen 
basierten die in Frage 1 erfragten Kooperationen unter Beteiligung des BSI 
im Einzelnen jeweils? 
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4. Wurden bei den in Frage 1 erfragten Kooperationen zwischen den beteiligten 
Stellen Daten aus oder von in Deutschland befindlichen bzw. genutzten IT- 
Systemen ausgetauscht, und wenn ja, zwischen welchen Stellen welche Da¬ 
ten in welcher Größenordnung? 

5. Wurden bei den in Frage 1 erfragten Kooperationen Betreiber und/oder Nut¬ 
zer der betroffenen in Deutschland befindlichen bzw. genutzten IT-Systeme 
informiert (bitte einzeln auflisten Art, Umfang und der Adressat Infonnatio¬ 
nen)? 

6. Welche die Aufsicht führenden bzw. für die Kontrolle zuständigen Bundes¬ 
ministerien, Gremien oder Behörden wurden wann und wie über die in 
Frage 1 erfragten Kooperationen infonniert (bitte einzeln auflisten, ob Infor¬ 
mationen vor oder nach Beginn oder nach Abschluss der Kooperation erfolg¬ 
ten)? 

Die Fragen 2 bis 6 werden gemeinsam beantwortet. 

Auf die Antwort zu Frage 1 wird verwiesen. 


7. Wie viele Kooperationen hat das BSI seit 2015 mit ausländischen Sicher¬ 
heitsbehörden oder Nachrichtendiensten anlässlich bevorstehender oder er¬ 
warteter Angriffe auf in Deutschland befindliche IT-Systeme durchgeführt 
oder begonnen? 

Das BSI hat speziell anlässlich bevorstehender oder erwarteter Angriffe auf in 
Deutschland befindliche IT-Systeme seit dem Jahr 2015 keine Kooperationen mit 
ausländischen Sicherheitsbehörden oder Nachrichtendiensten durchgeführt oder 
begonnen. Wegen der Zusammenarbeit im Allgemeinen wird auf die Vorbemer¬ 
kung sowie auf die Antwort zu den Fragen 19 und 20 verwiesen. 


8. Welche deutschen und ausländischen Behörden waren an den in Frage 7 er¬ 
fragten Kooperationen beteiligt? 

9. Auf welchen gesetzlichen, vertraglichen oder vertragsähnlichen Grundlagen 
basierten die in Frage 7 erfragten Kooperationen unter Beteiligung des BSI 
im Einzelnen jeweils? 

10. Wurden bei den in Frage 7 erfragten Kooperationen zwischen den beteiligten 
Stellen Daten aus oder von in Deutschland befindlichen IT-Systemen ausge¬ 
tauscht, und wenn ja, zwischen welchen Stellen welche Daten in welcher 
Größenordnung? 

11. Wurden bei den in Frage 7 erfragten Kooperationen Betreiber und/oder Nut¬ 
zer der betroffenen in Deutschland befindlichen bzw. genutzten IT-Systeme 
informiert (bitte Art, Umfang und der Adressat Infonnationen einzeln auf¬ 
listen)? 

12. Welche die Aufsicht führenden bzw. für die Kontrolle zuständigen Bundes¬ 
ministerien, Gremien oder Behörden wurden wann und wie über die in 
Frage 7 erfragten Kooperationen infonniert (bitte einzeln auflisten, ob Infor¬ 
mationen vor oder nach Beginn oder nach Abschluss der Kooperation erfolg¬ 
ten)? 

Die Fragen 8 bis 12 werden gemeinsam beantwortet. 

Auf die Antwort zu Frage 7 wird verwiesen. 
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13. In wie vielen Fällen hat sich das BSI seit 2015 mit welchen deutschen Stellen 
hinsichtlich Infonnationen über potentiell für Maßnahmen der Telekommu¬ 
nikationsüberwachung (bspw. Quellen-TKÜ, Onlinedurchsuchung, Einrich¬ 
tung von pseudonymen Accounts) nutzbare Schwachstellen und Exploits 
(Zero-Day-Exploits) ausgetauscht? 

Das BSI hat sich seit dem Jahr 2015 in vier Fällen mit deutschen Stellen zu 
Schwachstellen ausgetauscht. Der Austausch erfolgte mit Sicherheitsforschem, 
Hochschulen und Unternehmen. 

Ein Austausch mit staatlichen Stellen fand nicht statt. Der Austausch fand aus¬ 
schließlich im Rahmen eines „Coordinated Vulnerability Disclosure“ (CVD) Pro¬ 
zesses statt. Ziel eines solchen Austausches ist es, die Hersteller der von den 
Schwachstellen betroffenen Produkte geeignet zu infonnieren, damit diese die 
Schwachstellen beheben können, bevor sie öffentlich werden. 


14. In wie vielen Fällen hat sich das BSI seit 2015 mit welchen europäischen 
Stellen hinsichtlich Informationen über potentiell für Maßnahmen der Tele- 
kommunikationsüberwachung (bspw. Quellen-TKÜ, Onlinedurchsuchung, 
Einrichtung von pseudonymen Accounts) nutzbare Schwachstellen und Ex¬ 
ploits (Zero-Day-Exploits) ausgetauscht? 

15. In wie vielen Fällen hat sich das BSI seit 2015 mit welchen außereuropäi¬ 
schen Sicherheitsbehörden oder Nachrichtendiensten hinsichtlich Infonnati¬ 
onen über potentiell für Maßnahmen der Telekommunikationsüberwachung 
(bspw. Quellen-TKÜ, Onlinedurchsuchung, Einrichtung von pseudonymen 
Accounts) nutzbare Schwachstellen und Exploits (Zero-Day-Exploits) aus¬ 
getauscht? 

Die Fragen 14 und 15 werden gemeinsam beantwortet. 

In keinem Fall. 


16. In wie vielen Fällen hat sich das BSI seit 2015 mit welchen Betreibern von 
IT-Netzwerken, Telekommunikationsdiensten, sozialen Netzwerken, On¬ 
lineplattformen oder Messengerdiensten hinsichtlich Infonnationen über po¬ 
tentiell sowohl für Maßnahmen der Telekommunikationsüberwachung (bspw. 
Quellen-TKÜ, Onlinedurchsuchung, Einrichtung von pseudonymen Accounts) 
aber auch für sogenannte Hackerangriffe nutzbare Schwachstellen und Ex¬ 
ploits (Zero-Day-Exploits) ausgetauscht? 

Das BSI hat sich in keinem Fall mit Telekommunikations- und Telemedienanbie- 
tem zu Maßnahmen für Telekommunikationsüberwachung (bspw. Quellen-TKÜ, 
Onlinedurchsuchungen etc.) ausgetauscht. 

Das BSI hat sich aber mit verschiedenen relevanten Telekommunikations- und 
Telemedienanbietem hinsichtlich Infonnationen über für sogenannte „Hacking- 
angriffe“ nutzbare Schwachstellen ausgetauscht. Schwerpunkte seit dem Jahr 
2015 waren hierbei die Bekämpfung von Botnetzen und DDoS-Angriffen (Dis- 
tributed-Denial-of-Service). 

Die Ergebnisse wurden in einer Vielzahl von Veröffentlichungen transparent dar¬ 
gestellt, so z. B. in einer öffentlich verfügbaren Publikation der Allianz für 
Cybersicherheit (www.allianz-füer-cybersicherheit.de/.../Partnerbeitrag_ISPs_ 
Gefaehrdungsmatrix 201 6.html). 
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17. In wie vielen Fällen hat sich das BSI seit 2015 mit welchen Betreibern von 
IT-Netzwerken von Stellen des Bundes und der Länder hinsichtlich Infor¬ 
mationen über potentiell sowohl für Maßnahmen der Telekommunikations¬ 
überwachung (bspw. Quellen-TKÜ, Onlinedurchsuchung, Einrichtung von 
pseudonymen Accounts) aber auch für sogenannte Hackerangriffe nutzbare 
Schwachstellen und Exploits (Zero-Day-Exploits) ausgetauscht? 

In keinem Fall. 

18. In wie vielen Fällen hat das BSI seit 2015 welchen Betreibern von IT-Netz¬ 
werken von Stellen des Bundes und der Länder über potentiell sowohl für 
Maßnahmen der Telekommunikationsüberwachung (bspw. Quellen-TKÜ, 
Onlinedurchsuchung, Einrichtung von pseudonymen Accounts) aber auch 
für sogenannte Hackerangriffe nutzbare Schwachstellen und Exploits (Zero- 
Day-Exploits) gewarnt und auf Maßnahmen gegen jene hingewirkt? 

Das BSI hat seit dem Jahr 2015 die Betreiber von IT-Netzwerken von Stellen des 
Bundes und der Länder vor einer Vielzahl von Schwachstellen gewarnt. 

Das BSI stellt allen Stellen des Bundes, den Landesverwaltungen, den kritischen 
Infrastrukturen aber auch allen anderen Unternehmen sowie Bürgerinnen und 
Bürgern den Warn & Informationsdienst (WID) (www.cert-bund.de/) zur Verfü¬ 
gung. Über den WID werden Informationen zu neuen Schwachstellen und Sicher¬ 
heitslücken sowie aktuellen Bedrohungen für IT-Systeme publiziert. 

Das BSI hat im angefragten Zeitraum die folgende Anzahl an Schwachstellen- 
Meldungen (Advisories) herausgegeben: 

• 2015:729 

• 2016:861 

• 2017:788 

• 2018:226 
(Stand: 19. Juni 2018). 

Daneben informiert das BSI auch mit „Cyber-Sicherheitswamungen“ die Stellen 
der Bundes- und Landesverwaltungen über besonders relevante Schwachstellen 
und Gefährdungen. Diese Meldungen gehen an alle durch die Bundes-Ressorts 
gemeldeten IT-Sicherheitskontakte sowie an die Computer Emergency Response 
Teams (CERTs) der Landesverwaltungen im VerwaltungsCERT-Verbund (VCV). 
Das BSI hat im angefragten Zeitraum die folgende Anzahl an Cyber-Sicherheits¬ 
warnungen herausgegeben: 

• 2015:44 

• 2016:51 

• 2017:57 

• 2018:25 

(Stand: 19. Juni 2018). 
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19. Haben Mitarbeiter ausländischer Sicherheitsbehörden oder Nachrichten¬ 
dienste seit 2015 mit dem BSI in Deutschland zusammengearbeitet, und 
wenn ja, 

a) jeweils zu welchem Zeitpunkt oder in welchem Zeitraum, 

b) Mitarbeiter von welchen ausländischen Sicherheitsbehörden oder Nach¬ 
richtendiensten, 

c) jeweils aus welchem Anlass, zu welchem Zweck und in welcher Weise, 

d) auf welcher rechtlichen Basis? 

Eine entsprechende Zusammenarbeit in Deutschland fand nicht statt. 


20. Haben Mitarbeiter des BSI seit 2015 mit ausländischen Sicherheitsbehörden 
oder Nachrichtendienste außerhalb Deutschlands zusammengearbeitet, und 
wenn ja, 

a) jeweils zu welchem Zeitpunkt oder in welchem Zeitraum, 

b) mit welchen ausländischen Sicherheitsbehörden oder Nachrichtendiens¬ 
ten, 

c) jeweils aus welchem Anlass, zu welchem Zweck und in welcher Weise, 

d) auf welcher rechtlichen Basis? 

Gemäß seiner gesetzlichen Aufgaben arbeitet das BSI kontinuierlich im interna¬ 
tionalen Rahmen jeweils mit den Behörden zusammen, denen vergleichbare Auf¬ 
gaben im Bereich der IT- und Cybersicherheit in Partnerländern zugewiesen sind 
(siehe Vorbemerkung der Bundesregierung). 

Im Wesentlichen findet dies im Kontext und an den Standorten von Europäischer 
Union und NATO statt. Zweck dieser Zusammenarbeit ist vor allem: 

• Erarbeitung gemeinsamer Regelwerke zu Aspekten der Cybersicherheit, 
Schutz der Kommunikationsverbindungen oder Interoperabilität. 

• Austausch zu Mindestanforderungen für IT-Sicherheit und Möglichkeiten zur 
Abwehr von Cyberangriffen. 

• Planung, Teilnahme und Nachbereitung von und an Übungen zum Themen¬ 
komplex IT-Sicherheit oder IT-Krisenmanagement. 

Die rechtliche Grundlage ergibt sich dabei aus § 3 Absatz 1 Satz 2 Nummer 16 
des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik 
(BSIG). 

Weiterhin hat das BSI bei der Bewältigung eines IT-Sicherheitsvorfalls im Aus¬ 
land unterstützt. Zu den weiteren Inhalten dieser Antwort wird gemäß Vorbemer¬ 
kung der Bundesregierung auf den „VS - Vertraulich“ eingestuften Antwortteil 
verwiesen.* 


Das Bundesministerium des Innern, für Bau und Heimat hat einen Teil der Antwort zu Frage 20 als „VS - Vertraulich" eingestuft. 
Die Antwort ist in der Geheimschutzstelle des Deutschen Bundestages hinterlegt und kann dort nach Maßgabe der Geheimschutzord¬ 
nung eingesehen werden. 
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21. In welcher Art und Weise hat das BSI die Zertifizierungsverfahren für die 
zur Quellen-TKÜ und Onlinedurchsuchung beschafften bzw. programmier¬ 
ten Programme begleitet (bitte einzeln für die jeweiligen Programme auflis¬ 
ten)? 

Eine Zertifizierung von Software zur Durchführung von Maßnahmen der Quel¬ 
len-TKÜ oder der Onlinedurchsuchung ist gesetzlich nicht vorgesehen und wurde 
nicht durchgeführt. 

Das BSI hat vorn Bundeskriminalamt (BKA) die Ergebnisse der Überprüfungen 
einer vom BKA entwickelten Quellen-TKÜ-Software und einer kommerziellen 
Quellen-TKÜ-Software mitgeteilt bekommen. 

22. In welcher Weise war das BSI ggf. daran beteiligt, für von Bundesbehörden 
beschaffte oder erstellte Programme Vorkehrungen und technische Vorga¬ 
ben zu entwickeln bzw. zu implementieren bzw. ihre Umsetzung zu prüfen, 
welche sicherstellen sollen, dass 

a) ausschließlich die laufende Telekommunikation überwacht und aufge¬ 
zeichnet werden kann (§ 100a Absatz 5 Satz 1 Nummer la der Strafpro¬ 
zessordnung - StPO) oder dass ausschließlich gespeicherte Inhalte und 
Umstände der Kommunikation, die ab der TKÜ-Anordnung während des 
laufenden Übertragungsvorgangs hätten überwacht und aufgezeichnet 
werden dürfen, überwacht und aufgezeichnet werden können (§ 100a Ab¬ 
satz 5 Satz 1 Nummer lb StPO) und die Quellen-TKÜ nicht zu einem 
Vollzugriff auf Inhalte und Ressourcen des Zielsystems führt und damit 
faktisch eine rechtswidrige Onlinedurchsuchung bedeutet; 

b) am Zielsystem nur Veränderungen vorgenommen werden, die für die Da¬ 
tenerhebung unerlässlich sind (§ 100a Absatz 5 Satz 1 Nummer 2 StPO) 
und die vorgenommenen Veränderungen am Zielsystem, soweit technisch 
möglich, automatisch rückgängig gemacht werden (§ 100a Absatz 5 
Satz 1 Nummer 3 StPO) 

(bitte für die einzelnen Programme jeweils auflisten)? 

23. In welcher Weise war das BSI ggf. daran beteiligt, für von Bundesbehörden 
beschaffte oder erstellte Programme Vorkehrungen und technische Vorga¬ 
ben zu entwickeln bzw. zu implementieren bzw. ihre Umsetzung zu prüfen, 
welche sicherstellen sollen, dass 

a) - soweit möglich - technisch sichergestellt ist, dass Daten, die den Kem- 
bereich privater Lebensgestaltung betreffen, nicht erhoben werden 
(§ lOOd Absatz 3 Satz 1 StPO), 

b) technisch sichergestellt ist, dass am Zielsystem nur Veränderungen vor¬ 
genommen werden, die für die Datenerhebung unerlässlich sind (§ 100b 
Absatz 4 i. V. m § 100a Absatz 5 Satz 1 Nummer 2 StPO), 

c) die vorgenommenen Veränderungen bei Beendigung der Maßnahme, so¬ 
weit technisch möglich, automatisch rückgängig gemacht werden (§ 100b 
Absatz 4 i. V. m. § 100a Absatz 5 Satz 1 Nummer 3 StPO), und 

d) die Spähsoftware („das eingesetzte Mittel“ in der Terminologie der StPO) 
nach dem Stand der Technik gegen unbefugte Nutzung geschützt ist 
(§ 100b i. V. m. § 100a Absatz 5 Satz 2 StPO)? 

Die Fragen 22 und 23 werden aufgrund des Sachzusammenhangs gemeinsam be¬ 
antwortet. 
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Im Jahr 2012 war das BSI bei der Erstellung der „Standardisierenden Leistungs¬ 
beschreibung“ (SLB) für Software zur Durchführung von Maßnahmen der Quel- 
len-TKÜ hinsichtlich kryptographischer Aspekte und IT-Sicherheitsaspekten be¬ 
teiligt. 


24. Welche Kosten sind anlässlich der Entwicklung von Programmen oder Tools 
für Quellen-TKÜ und Onlinedurchsuchung jeweils für die Einzelpositionen 
Lizenzkosten, Wartung und Betreuung sowie Entwicklung entstanden (bitte 
jeweils für die einzelnen entwickelten oder beschafften Programme und 
Tools sowie nach Jahren auflisten)? 

Das BSI hat selbst keine Software im Sinne der Fragestellung entwickelt, daher 
sind diesbezüglich keine Kosten entstanden. 
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